Recientemente saltó a todos los medios el caso de Advert.dll, una dll que se instalaba con un gran número de aplicaciones shareware de renombre, y que según todas las informaciones estaba destinada a espiar las transmisiones de los usuarios.
El sistema AdSoftware de Aurete Media Corporation se basa en ofrecer a desarrolladores la posibilidad de incluir en sus aplicaciones publicidad, a modo de banners, con la consiguiente retribución monetaria según el volumen de publicidad que son capaces de soportar -usuarios/tiempo que utilicen la aplicación-. En estos momentos se cuentan por cientos las aplicaciones que utilizan esta tecnología (listado en:
http://www.aureate.com/advertisers/network_members.html), con títulos tan conocidos y extendidos como GetRight o CuteFTP, y que tienen en común la utilización de Internet para llevar a cabo sus funciones, ya que de lo contrario el sistema no podría actualizar los banners y realizar el seguimiento.
El rumor parte, como suele ser habitual, en los foros de Internet (primeras informaciones en:
http://news.cnet.com/news/0-1005-200-1558696.html) y provoca enseguida un efecto bola de nieve entre informadores y usuarios que terminan por sembrar, como m¡nimo, la duda en la comunidad de usuarios. Una de las fuentes m s activas en este caso en la que se han basado muchas de las informaciones arrojadas son los comentarios de Steve Gibson en su sitio web (http://grc.com/optout.htm).
Avisos y Acuerdo de Licencia
Entre los requerimentos, para que terceros puedan aplicar la tecnolog¡a AdSoftware en sus programas, Aureate pide que se incluya un texto en sus propios acuerdos de licencia. En dicho texto se hace referencia a que la aplicaci¢n es «advertiser supported software», que significa que algunos o todos los costes asociados al desarrollo y a la distribuci¢n del producto intentan ser recuperados con el uso de los anuncios visualizados a trav’s del sistema Aureate incluido en la aplicaci¢n. En las pruebas realizadas con diversas aplicaciones ‘ste apartado no se cumple en su totalidad y encontramos moltiples irregularidades. En la mayor¡a de los casos, como por ejemplo CuteFTP o GetRight, si bien se incluye alguna referencia a la tecnolog¡a de Aureate al final del acuerdo de licencia del usuario, no se puede encontrar el texto completo recomendado por la propia Aureate, que explica con mayor detalle su funcionamiento.
En otras ocasiones, existen aplicaciones shareware que se ofrecen durante un periodo de tiempo en modo completamente funcional, con las mismas caracter¡sticas que el usuario puede disfrutar al comprarlo. Algunas distribuciones de este tipo incluyen el sistema Aureate, el usuario no es informado durante la instalaci¢n, y la sorpresa llega cuando Aureate se activa una vez pasado el periodo de prueba. La responsabilidad en este caso particular recae sobre las casas desarrolladoras que incluyen e instalan dicha tecnolog¡a sin informar convenientemente al usuario.
A todas estas singularidades se suma la confusi¢n que puede suponer el hecho de que existan diferentes versiones y modalidades de incluir el sistema Aureate en una aplicaci¢n. La m s extendida es la que utiliza la librer¡a advert.dll, entre otras, -ya avanzo que hay versiones que no incluyen dicha librer¡a- basada en la construcci¢n de un perfil del usuario mediante la solicitud de informaci¢n a trav’s de formularios y su identificaci¢n mediante un nomero personalizado. En este caso la aplicaci¢n que pide la informaci¢n al usuario es propiedad de Aureate, y en todo momento se presenta con cumplida informaci¢n sobre el uso que se le va a dar a la misma.
Una vez hayamos instalado una aplicaci¢n que haga uso de Aureate el resto de software que utilice el mismo sistema no tendr que repetir la solicitud de datos por formulario, ya que comparte el perfil existente, por lo que puede dar la sensaci¢n de que estas aplicaciones no advierten de modo adecuado al usuario. En otras versiones y modalidades no existe solicitud de informaci¢n adicional para la creaci¢n del perfil, en esta ocasi¢n el sistema de Aureate funciona de forma similar a una cookie, si bien compartida entre todas las aplicaciones que hagan uso de esta tecnolog¡a.
Es la propia Aureate la que solicita a los desarrolladores de software que no incluyan sus librer¡as en los procesos de desinstalaci¢n a no ser que est’n totalmente seguros de que ningon otro software instalado en el sistema hace uso de ellas. De lo contrario, si se incluye en la desinstalaci¢n, puede suponer que al desinstalar un programa dejen de funcionar el resto de aplicaciones que utilizaban y compart¡an las librer¡as de Aureate (advert.dll, por ejemplo). La pr ctica totalidad del software al que he tenido acceso sigue el consejo de Aureate, lo que explica la existencia de las librer¡as aun habiendo desinstalado la aplicaci¢n que hac¡a uso de ellas.
Este hecho no dejar¡a de ser una an’cdota, sino fuera porque Aureate, como se demostrar m s tarde, utiliza a los navegadores para cargar sus librer¡as en memoria, por lo que podemos encontrarnos en la situaci¢n de haber desinstalado todo el software que hac¡a uso de las aplicaciones y seguir con Aureate activado en memoria sin que el usuario tenga ningon tipo de notificaci¢n al respecto ni hecho visible para que pudiera percatarse de ello.
De esta forma queda empa_ada esta caracter¡stica que en un principio podr¡a haberse interpretado como algo l¢gico, el pedir a los desarrolladores no desinstalen el sistema de Aureate para facilitar la compartici¢n de librer¡as y perfil del usuario. Al mismo tiempo que cobrar¡a fuerza la idea de que pudiera actuar en un determinado momento como si de un troyano se tratara al actuar al margen de lo que se le presupone, ya que en ningon caso, y segon la documentaci¢n a la que he tenido acceso, se contempla esta caracter¡stica.
Librer¡as y proceso de instalaci¢n
Las librer¡as de Aureate, entre otras advert.dll y la menos conocida pero no menos importante amcis.dll, se instalan en el directorio de sistema de Windows (system en Win9x y system32 en WinNT). El programa de instalaci¢n verifica que no sobreescribe librer¡as ya existentes si ‘stas son versiones superiores, para evitar as¡ que la actualizaci¢n pueda afectar a software preinstalado que contemple caracter¡sticas de versiones m s avanzadas. Las versiones superiores son compatibles con las anteriores y, por tanto, las aplicaciones que fueron dise_adas para trabajar con versiones antiguas del sistema Aureate funcionar n de igual forma con las nuevas DLLs que ya se encuentran instaladas.
Otras consideraciones tienen que ver con los desarrolladores que utilicen el componente AdvertX.ocx adem s de las DLLs. He podido comprobar que la mayor¡a de las ocasiones suele incluirse en los programas, que utilizan el sistema de Aureate y han sido desarrollados con Visual Basic, aunque en realidad pueden ser utilizados con otros lenguajes. El programador debe comprobar en esta ocasi¢n que la librer¡a oleaut32.dll sea, como m¡nimo, la versi¢n 2.20, ya que las anteriores, distribuidas en las primeras versiones de Windows 95 y NT, no contemplan el trabajo con componentes ActiveX. Aureate facilita una versi¢n actualizada de la librer¡a oleaut32.dll para que pueda ser distribuida en estos casos, teniendo especial cuidado, de nuevo, en no sobreescribir versiones superiores.
Adem s de los mencionados podemos encontrar otros ficheros como parte de la instalaci¢n de Aureate, y su inclusi¢n o no depende de la versi¢n instalada: htmdeng.exe, ipcclient.dll, tfde.dll, raimage.dll, adimage.dll, msipcsv.exe, Advert3.ocx, anadsc.ocx, advert203.ocx y amcis2.dll.
Aureate en el Registro de Windows
A continuaci¢n hacemos un recorrido por las claves que Aureate almacena en el registro de Windows y que nos proporciona informaci¢n imprescindible para poder entender su funcionamiento. En esta primer apartado se pueden ver las que aparecen claramente vinculadas con Aureate, al llevar su nombre en la clave. M s adelante veremos tambi’n como se inserta en el registro informaci¢n adicional que, sin llevar una nomenclatura tan expl¡cita, permitir a Aureate ser cargado en memoria cada vez que se lance el navegador de Microsoft o Netscape.
-HKEY_CLASSES_ROOTSoftwareAureateAdvertising Bajo esta clave podemos encontrar las diferentes subclaves y valores que Aureate almacena segon configuraci¢n personalizada para nuestra m quina.
_ROOTSoftwareAureateAdvertisingDefault Server El valor «Address» contiene la direcci¢n del servidor principal con el que conectar , ejemplo «aim1.adsoftware.com». «Port» recoge el nomero del puerto TCP para realizar la conexi¢n, en las pruebas realizadas siempre el 1975.
-HKEY_CLASSES_ROOTSoftwareAureateAdvertisingServers Nos podemos encontrar con una sucesi¢n de subclaves que contienen los mismos valores que la anterior (direcci¢n y puerto) -obviamente con diferentes datos-. Son usados Como servidores secundarios en caso de que haya algon problema en la comunicaci¢n con el servidor por defecto.
-HKEY_CLASSES_ROOTSoftwareAureateAdvertisingDistributors En esta clave se almacena el valor «Distribuidor ID», numero de identificaci¢n del distribuidor que se env¡a a los servidores de Aureate y permite a los programadores hacer un seguimiento personalizado de las estad¡sticas de publicidad que arrojan sus aplicaciones segon un ID espec¡fico.
-HKEY_CLASSES_ROOTSoftwareAureateAdvertisingPath Contiene la ubicaci¢n de la librer¡a ADVERT.DLL, que en un Windows 9x puede ser «C:WINDOWSSYSTEMADVERT.DLL», por ejemplo. -HKEY_CLASSES_ROOTSoftwareAureateAdvertisingCookies Espacio reservado para almacenar las cookies que provienen de los servidores HTTP de los anunciantes. En las pruebas no se ha almacenado ningon valor, y si en la clave del mismo nombre que se mantiene en HKEY_CURRENT_USER que veremos a continuaci¢n.
-HKEY_CURRENT_USERSoftwareAureateAdvertising Bajo esta clave se encuentran las subclaves que almacenan la configuraci¢n para los usuarios espec¡ficos que utilizan la m quina. En este apartado podemos encontrarnos con el valor «Proxy», y la correspondiente URL que apunta al servidor y puerto, en los sistemas que lo requieran para conectar a Internet, como por ejemplo en una red local.
-HKEY_CURRENT_USERSoftwareAureateAdvertisingCookies Almacena las cookies segon usuario, podemos encontrar subclaves con los nombres de dominio de las cookies y en su interior valores que almacenan el nombre de la cookie y su expiraci¢n.
-HKEY_CURRENT_USERSoftwareAureateAdvertisingDemographics Aqu¡ encontramos los valores de la «ficha» del usuario, segon los datos que hayamos suministrados en el formulario que Aureate nos presenta cuando se instala por primera vez. ID del usuario, a_o de nacimiento, sexo, trabajo, estado civil, nivel de estudios, pa¡s, etc. Los datos que contienen estos valores corresponden siempre a los suministrados en el formulario, Aureate no recopila y almecena informaci¢n por si s¢lo, aun en el caso de que lo hallamos dejado sin rellenar, en blanco.
-HKEY_CURRENT_USERSoftwareAureateAdvertisingDemographicsInterests Almacena los valores del formulario donde durante la instalaci¢n se nos solicita que indiquemos nuestras reas de interes, como por ejemplo Autom¢viles, Educaci¢n, Libros/Revistas, Ordenadores, etc. Toda esta informaci¢n personalizada la utiliza para crear el perfil que tiene como fin elegir que publicidad es la m s adecuada para el usuario.
-HKEY_LOCAL_MACHINEAureateAdvertesing Durante las pruebas esta clave se cre¢ pero nunca ha almacenado informaci¢n.
-HKEY_LOCAL_MACHINEAureateAdvertesingClassesSoftwareAureate Subclaves y valores equivalentes a los encontrados en HKEY_CLASSES_ROOT -HKEY_USERSAureateAdvertesing Subclaves y valores equivalentes a los encontrados en HKEY_CURRENT_USER
Funciones poblicas de las librer¡as para los desarrolladores
Entre las acusaciones que se han barajado se encuentra la posibilidad de que las aplicaciones que hicieran uso del sistema de Aureate contaran con herramientas adicionales para actuar como troyano o espiar a los usuarios. De entrada, esta afirmaci¢n carece de l¢gica, ya que los desarrolladores pueden incluir, si quisieran, estas caracter¡sticas en su propio software sin tener que recurrir a sistemas de terceros.
Para despejar cualquier duda al respecto se incluye a continuaci¢n las principales funciones que las librer¡as de Aureate facilitan a los desarrolladores que incorporan su sistema:
*debugTriggerEvent: sirve de ayuda para debuggear.
*GetStatus: devuelve diferentes estados para controlar los procesos.
*IsConnectOkay: permite conocer si la DLL ha sido capaz de comunicarse con el servidor de publicidad.
*OnClick: se utiliza para detectar si el usuario hace click en el banner y comprueba si se ha abierto la URL correspondiente en el navegador por defecto.
*Paint: utilizado para llamar a la librer¡a y visualice un banner en la aplicaci¢n.
*RetryConnect: sirve para reiniciar el proceso de conexi¢n, Aureate se reinicia automaticamente cada vez que detecta algon problema en la comunicaci¢n.
*SetAdRecordedCallback: avisa cuando el servidor de publicidad ha registrado/contabilizado la visualizaci¢n de un banner. *SetBandwidthThrottle: permite configurar el m ximo ancho de banda que puede manejar la aplicaci¢n durante sus comunicaciones (por defecto 2Gb/sec.)
*SetCallback: comprueba si la llamada a visualizar un banner se ha resuelto satisfactoriamente.
*SetMinimumAdDisplayTime: tiempo m¡nimo que se visualiza un banner antes de llamar a otro.
*SetNetworkCallback: llamada despu’s de que se intente hacer alguna conexi¢n con los servidores de publicidad.
*SetNetworkState: permite conocer si se est conectado a Internet.
*SetProxy: para poder configurar los valores de proxy HTTP en el registro.
*Shutdown: destruye los procesos para cerrar la aplicaci¢n. *Startup: para inicializar la librer¡a.
*UseDefaultAd: llama, y permite configurar, el banner por defecto que se visualizar en primer lugar y cuando existan problemas de comunicaci¢n con el servidor para descargar nuevos banners. Aureate facilita a los desarrolladores, que incorporan su sistema, informaci¢n adicional a trav’s de un web en Internet, previa identificaci¢n mediante usuario/contrase_a, pero se limita a proporcionar datos estad¡sticos sobre los banners visualizados a trav’s de su aplicaci¢n y la correspondiente compensaci¢n econ¢mica de la que se benefician. En ningon caso el desarrollador tiene acceso a informaci¢n sensible de los usuarios.
Bernardo Quintero
bernardo@hispasec.com
